Ａ．個人情報の洗い出し
ＰＭＳの運用を行うためには、自社内にどのような個人情報が存在しているのかを把握する必要があります。
- 紙媒体のものなのか？データなのか？
- どのような用途に利用されているのか？
まずは全貌を把握するために調査（洗い出し）を行ないます。
Ｂ．個人情報の洗い出し方法
個人情報とは、その情報が特定の個人を識別できる情報ですが、内容によって（氏名をアドレスに使っているメールアドレスなど）１つの情報で個人情報となりうるものもあります。
そのため、個人にかかる情報となりうるものも含め洗い出しを行う必要があります。
ポイント
- 個人情報の洗い出しは調査表などを作成し、媒体（紙・データ）の種類や業務内容、入手経路、保管場所、情報の内容（氏名と住所など）に区分し、実施する。
- 従業員に関する情報も個人情報であるため、同様の内容であったとしても、媒体の文書名が違う（例えば、労働契約書と履歴書）などの場合それぞれ別の項目として洗い出しを行うようにする。
- 顧客情報を例に挙げると、会員申込書がありその後データに落として管理している場合、紙媒体の会員申込書と顧客データとは別の区分として洗い出しをする。
- 季節的に発生したり単発的に発生するような個人情報の見落としに注意して通期で取得する個人情報についても対象とする。
※ＰＭＳ運用開始後は定期的に保有個人情報のチェックを行う必要があるため、特定漏れの個人情報がないかどうかの対応方法を規定化する必要がある。
Ｃ．個人情報の特定
洗い出しによって、今後自社で管理対象とする個人情報を特定します。
自社の事業の用に供する個人情報をどのように特定するのか、手順、台帳への記載方法・タイミングなどを規程化します。
ポイント
- 特定の手順は、最初の洗い出し（準備段階）後の手順で、新たな個人情報を取得し利用する場合には、事前の個人情報保護管理者の承認を要するなど、別途申請書などの様式を作り対応する。
- 個人情報の取得や利用には一定のルール（明示や利用目的の制限など）があるためそれらが適正に行なわれているかのフィルタをかける必要があります。
- 台帳の作成、自社の現状の個人情報管理状態を明確に把握するため、個人情報管理台帳などの名称の様式を作成する。
個人情報管理台帳には、以下のような項目を付して分かりやすくする
① 個人情報分類（顧客管理・従業員管理など大分類）
② 文書名
③ 媒体（紙・データ）
④ 入手先（本人・間接的）
⑤ 保有件数
⑥ 個人情報項目（氏名・電話・メール等）
※要配慮個人情報については必ず記入する。
⑦ 利用目的
⑧ 保管場所
⑨ 保管方法
⑩ アクセス権を有する者
⑪ 利用期限
⑫ 保管期限
⑬ 廃棄方法
⑭ 開示対象個人情報の可否
⑮ 委託の有無
⑯ 第三者提供の有無
- 管理台帳によって、現状と比較し台帳記載どおりの運用となっているかが確認できるようなものとする。また、各分類毎に通し番号を付与し以後の管理をしやすく工夫する。
- 原則として、不必要な個人情報は保有しない体制をつくる
- 準備段階では、不要（今後事業として利用しないもの）分は返却・廃棄などの実施
- 個人情報の特定後には分類された個人情報ごとにリスク分析・対策の策定を行う必要があるため、個人情報のライフサイクルごと（取得・移送・利用・加工・保管・提供・消去・廃棄）などが分かりやすくなる「業務フロー」を作成しておく
- 加工された個人情報の内容も別途区分し台帳に記載する
- 仮に媒体が変われば（紙からデータ）リスク対策も変化するため・・・
- 個人情報の分類は、業務や文書名ごとに集約し整理する。
- 個人１件毎となるようなものとせず、通信販売業務「注文書」などはまとめて区分し登録（台帳に記載）する手法を取り入れる。
※ただし、内容・利用目的など取り扱いは統一
Ｄ．個人情報の特定に関する手順の文書化準備
個人情報の特定に関して、新規事業で新たな情報を取得する場合や現状の管理対象としている個人情報の変更・削除などがある場合には一定の手順で対応できるように規程に反映させておく必要があります。
ポイント
- 個人情報の洗い出しを行うとき方法を（様式を作成するなど。）決める。
- 新たな個人情報の取得や既存の個人情報の変更や削除があった場合を想定した手順を策定する。
- 新規取扱申請書などの様式をつくり対応する。承認者は誰なのか承認から当該個人情報の取扱いまでの流れを規程に反映させる。
- 定期的な見直しに関する手順を決める
- 一定期間（１年又は頻繁に個人情報が入れ替わる場合には数ヶ月毎）に個人情報の棚卸しを行い、適正な状態を保つための見直しの手順について策定する。
※基本的には、誰がいつ実施し、承認を行うのか、その記録はどのように確認するのかを明確にしておく。